‘소형기지국 해킹’ 사고 KT… 과징금 540억 부과

개인정보위, 조사 방해로 고발도
KT “국민께 불안 끼쳐드려 사죄”
LGU+ 서버 폐기 혐의 수사 의뢰

1만 6000여명의 개인정보가 유출되고 무단 소액결제 피해가 발생한 KT가 540억원의 과징금을 물게 됐다. 조사 과정에서 로그 기록을 삭제하고 거짓 자료를 제출하며 조사를 방해한 혐의로 경찰 수사도 받게 됐다.

개인정보보호위원회는 30일 KT에 개인정보보호법 위반 혐의로 과징금 539억 7900만원과 시정명령·개선 권고·공표 명령을 부과했다고 밝혔다.


해커는 KT의 유실된 소형기지국 ‘펨토셀’을 통해 KT 이동통신망에 접속해 이용자의 개인정보를 가로챈 것으로 드러났다. 이용자의 이름과 생년월일을 이용해 결제 인증 문자메시지를 빼돌려 무단으로 소액결제를 했다. 이 과정에서 이용자 1만 6647명의 휴대전화 번호와 단말기 식별번호(IMEI)가 유출됐고, 총 368명이 약 2억 4000만원의 소액결제 피해를 입었다.

KT는 펨토셀의 보안 관리를 철저히 하지 않은 것으로 확인됐다. 접속 인터넷프로토콜(IP)을 제한하지 않았고, 관리서버에 접근할 수 있는 우회 접속 경로도 발견됐다. 해커가 침투했을 때 대응 체계도 마련돼 있지 않았다. 이 때문에 해커가 2024년 10월부터 지난해 9월까지 약 11개월간 KT 내부망에 접속했음에도 소액결제 피해 민원이 발생한 뒤에야 해커의 비정상적인 접속 사실을 파악할 수 있었다.

악성코드 감염 사고가 일어난 사실도 확인됐다. KT는 2024년 3월 로밍렌탈서비스 홈페이지로 해커가 침투해 38대의 서버가 BPF도어 등 다수의 악성코드에 감염된 사실을 파악하고도 신고하지 않았다.



아울러 개인정보위는 당국이 조사에 나서기 전 미리 서버를 폐기한 LG유플러스도 공무집행을 방해한 혐의로 경찰에 고발했다.

KT는 “개인정보위의 처분 결과를 무겁게 받아들인다”며 “고객과 국민께 심려와 불안을 끼쳐드린 점을 다시 한번 고개 숙여 깊이 사과드린다”고 밝혔다. KT는 개인정보위 의결서를 수령한 뒤 처분 사유와 세부 내용을 면밀히 검토해 향후 대응 방향을 정할 방침이다.

LG유플러스는 “같은 사안에 대해 경찰 수사가 진행 중이며 수사에 성실히 임하고 있다”고 밝혔다. 다만 별도의 해명이나 법적 대응 계획은 내놓지 않았다.

세종 강주리·서울 민나리 기자